Qué hay en pie y qué no. Las dos mitades.

• Las contraseñas llevan hash Argon2id y se guardan como cadenas PHC. Nunca se guardan, se registran ni se transmiten en forma legible, y no hay camino que recupere una.
• Las sesiones son tokens firmados con una vida útil limitada. El plano de control emite un token aparte y de vida corta para cada llamada que hace de proxy hacia el motor de un modelo, así que un motor nunca ve una sesión de navegador.
• Los intentos fallidos repetidos de ingreso bloquean la dirección por un tiempo de espera. El contador vive en la base de datos del directorio, así que sobrevive a un reinicio.
• Las invitaciones son de un solo uso y una dirección se marca como del personal solo después de comprobarse al entrar o al aceptar una invitación.
• Un agente es un usuario con un rol. Los agentes de IA se autentican como usuarios y tienen roles; el token maestro de emergencia se rechaza en las rutas de agente.

El inicio de sesión único (SAML u OIDC) y la autenticación multifactor obligatoria no están disponibles hoy. Vea las brechas más abajo.

• Roles. Reader, Contributor y superiores, verificados contra el motor y no supuestos por la interfaz.
• Bloqueos de período. Un mes cerrado rechaza toda escritura sobre él — escrita, pegada, importada o programada — incluidas las de la propia plataforma. Un rechazo nombra la celda y el motivo.
• Acceso dimensional (selectivo). A un usuario se le pueden conceder o negar porciones individuales de un modelo — una región, una entidad, un centro de costos. Las concesiones son explícitas; nada se hereda por accidente.
• Impuesto del lado de la lectura. Una celda que usted no puede ver no se ofrece para escribir, así que un pegado sobre una porción prohibida se rechaza antes de enviarse en vez de aplicarse a medias.
• Aislamiento de tenants. Cada modelo de una organización es su propio proceso con su propio directorio de datos, alcanzable solo a través del plano de control autenticado; el motor de un modelo no está expuesto a la red.

• Cada cambio en un modelo es un evento, anexado a un registro, con su autor y su hora. El estado se reconstruye reproduciendo el registro; nada se edita en el lugar.
• Un reinicio reproduce hasta un estado idéntico bit a bit. Las celdas calculadas siempre se vuelven a calcular, nunca se persisten, así que un valor guardado nunca puede apartarse de su fórmula.
• Las escrituras se agrupan en changesets que pueden llevar la revisión contra la que se construyeron; uno vencido entra en conflicto entero en vez de aterrizar a medias.
• Un cierre, una reapertura y una reversión se registran como actos, con quién lo hizo y cuándo.
• Nuestro propio personal llega a los datos de los clientes por las mismas rutas autenticadas que usan los clientes, y ahí también queda registrado.

• Amazon Web Services, us-east-1 — cómputo, almacenamiento y correo saliente. AWS es responsable de la seguridad física y ambiental que hay debajo. La lista está en subprocesadores.
• TLS en cada conexión, con certificados de Let’s Encrypt renovados automáticamente. El HTTP se redirige; HSTS está activado.
• El contenedor de la aplicación corre como un usuario sin root, y la imagen se construye en CI y no en el host, así que lo que está corriendo se puede rastrear hasta un commit.
• Respaldo nocturno del volumen de datos hacia almacenamiento de objetos en la misma región.
• El despliegue es un pipeline, no una persona sobre una máquina. Un cambio llega a producción a través de una compilación que primero corre las suites de pruebas, las verificaciones de tipos y los linters.
• Los datos en tránsito van cifrados por TLS. Los datos en reposo se apoyan en almacenamiento gestionado por AWS.

• Sin informe SOC 2, sin certificado ISO 27001, sin prueba de penetración independiente. No tenemos ninguna certificación de seguridad de terceros de ningún tipo.
• Sin inicio de sesión único (SAML u OIDC) y sin autenticación multifactor obligatoria.
• Sin claves de cifrado gestionadas por el cliente, y sin cifrado a nivel de campo dentro de un modelo.
• Sin opciones de residencia de datos. Una sola región, us-east-1, para todos.
• Sin alta disponibilidad. Un solo host, restaurado desde el respaldo. Vea los compromisos de servicio.
• Ventanas fuera de línea programadas. El host del piloto corre de 07:00–19:00, de lunes a sábado, America/Winnipeg, y fuera de ellas se detiene.
• Sin programa de recompensas por fallas, y sin un documento formal de política de divulgación de vulnerabilidades — aunque los reportes son bienvenidos y se responden, vea más abajo.
• Sin guardia de seguridad 24/7.